Os dados de aprendizagem do teu filho nunca nos chegam: ficam no telemóvel, e só saem num ficheiro se fores tu a exportá-los. Aqui explicamos ao pormenor o que fica, o que sai e porquê.
Procuras a política do site (newsletter, formulário de contacto)? Está aqui →
"Missão Lumi" é uma aplicação educativa para crianças entre os 5 e os 11 anos, com conteúdos alinhados com o currículo português do 1.º Ciclo do Ensino Básico (Português, Matemática, Estudo do Meio e Inglês).
O responsável pelo tratamento dos dados é Filipe Alves (Portugal), que desenvolve e mantém a app. Contacto: missaolumi@gmail.com. Não foi designado um encarregado da protecção de dados, porque a lei não o exige para este tratamento (art. 37.º do RGPD); qualquer questão sobre dados vai para o contacto acima.
Esta política explica, em linguagem simples, que dados a app trata, onde ficam guardados, com quem são partilhados e que direitos tem. Foi redigida tendo em conta:
Onde a app é disponibilizada. Apenas nas lojas dos países do Espaço Económico Europeu. A app não é disponibilizada nos Estados Unidos.
A app é concebida para crianças e deve ser instalada e configurada por um pai, mãe ou tutor legal (o "adulto responsável").
Na primeira abertura, antes de qualquer outro ecrã, a app pede ao adulto responsável que confirme que é pai, mãe ou tutor da criança e que autoriza a utilização da app nos termos desta política. No mesmo ecrã há uma segunda escolha, à parte, desmarcada e opcional: enviar relatórios de avaria (§4.3). A app funciona na íntegra sem ela, e a escolha pode ser mudada a qualquer momento nas Configurações Parentais. Antes de o adulto aceitar, a app não envia nada: nenhum dos serviços da §4.3 é contactado. Quando o tratamento dos dados de uma criança com menos de 13 anos assenta no consentimento, esse consentimento tem de ser dado pelos seus representantes legais (art. 8.º do RGPD e art. 16.º da Lei n.º 58/2019).
Como a app não recolhe dados que identifiquem a criança ou o adulto, não pedimos documentos de identificação para confirmar a autorização: fazê-lo obrigaria a recolher precisamente os dados que a app foi desenhada para não ter. A autorização fica registada quando o adulto marca a caixa e carrega em «Aceitar e continuar». As zonas da app que dizem respeito ao adulto — definições parentais, compra e ligações para fora da app — estão protegidas por uma verificação de adulto: código PIN, biometria do aparelho ou uma pergunta de cálculo.
A app guarda os seguintes dados no armazenamento interno do dispositivo (base de dados SQLite local e ficheiro de preferências da app). Nunca são enviados para nós (não temos servidores). Só saem do aparelho se o adulto os exportar, ou pela cópia de segurança do próprio sistema, se a tiver ligada (ver abaixo).
Data de nascimento. É indicada pelo tutor ao criar o perfil e serve para dois fins, ambos dentro do dispositivo: escolher o conteúdo adequado ao ano escolar da criança e mostrar uma mensagem de parabéns no dia do aniversário. A verificação do aniversário é feita localmente pelo próprio dispositivo — a app nunca envia a data para lado nenhum, nem para nós nem para terceiros (a cópia de segurança do sistema, se o adulto a tiver ligada, inclui-a — ver abaixo). Pode ser corrigida a qualquer momento nas Configurações Parentais.
Estes dados nunca nos chegam: não os podemos consultar, corrigir, exportar nem apagar à distância. Quem os controla é o adulto responsável, na própria app — podem ser corrigidos no perfil e apagados a qualquer momento em Definições → Configurações Parentais → Apagar perfil.
Se a app for desinstalada, o sistema operativo (Android ou iOS) apaga os dados que estão no aparelho.
Cópia de segurança do sistema. Se o adulto tiver ligada a cópia de segurança do aparelho — a da conta Google, no Android; a do iCloud ou do computador, no iOS —, o sistema operativo pode guardar uma cópia da base de dados da app (perfil, progresso, histórico de sessões e economia) na conta do adulto. Essa cópia é feita e guardada pela Google ou pela Apple, nos termos do serviço que o adulto aceitou com elas; nós não temos acesso a ela. As preferências parentais (PIN, consentimento, limites de tempo, mundos bloqueados) e o estado do acesso à app ficam fora dessa cópia, nas duas plataformas. «Apagar perfil» e desinstalar a app apagam os dados do aparelho; a cópia de segurança é substituída na seguinte que o sistema fizer, e pode ser apagada nas definições de cópia de segurança do aparelho ou da conta.
Passar o progresso para outro aparelho. O progresso não se sincroniza entre aparelhos, mas o adulto pode levá-lo à mão: nas Configurações Parentais (atrás do portão parental), «Exportar progresso» cria um ficheiro com o progresso de um perfil e abre a folha de partilha do sistema, e o adulto envia-o para onde escolher (email, mensagens, armazenamento na nuvem, AirDrop). No outro aparelho, «Importar progresso» abre o seletor de ficheiros do sistema, também atrás do portão parental. - O que o ficheiro leva: o nome e o avatar do perfil, as estrelas, o nível de cada jogo, as peças, os Lumis, os itens e edifícios da economia educativa e o histórico de sessões. - O que não leva: a data de nascimento (pede-se de novo ao importar), o PIN parental e as outras preferências parentais (limites de tempo, mundos bloqueados), nem a compra, que se restaura pela loja. - Nós nunca o recebemos. A app escreve o ficheiro e entrega-o ao sistema; quem decide para onde vai é o adulto. O nome do ficheiro não leva o nome da criança. - Depois de partilhado, o ficheiro fica onde o adulto o pôs. Apagar o perfil ou desinstalar a app não o apaga lá: tem de ser apagado nesse sítio.
Impressão digital / Face ID. O tutor pode optar por abrir a zona parental com a biometria em vez do PIN. A app nunca recebe nem guarda a sua impressão digital ou o seu rosto: quem faz a verificação é o sistema operativo, e a app recebe apenas um "sim" ou um "não". Não há qualquer dado biométrico na base de dados local nem em lado nenhum, e nada é transmitido. Por isso não há tratamento de dados de categoria especial (RGPD art. 9.º) da nossa parte. A opção é desligada por defeito e pode ser desactivada nas Configurações Parentais.
Esta versão da app não inclui nenhuma funcionalidade de conversa com inteligência artificial. Nada do que a criança escreve é enviado para fora do dispositivo.
Se isso vier a mudar, esta política é actualizada antes de a funcionalidade ficar disponível, e com aviso dentro da app.
A app usa três serviços da Firebase, fornecidos pela Google (Google Ireland Limited e Google LLC), que os presta como nossa subcontratante. Nenhum deles recebe o nome da criança, a data de nascimento, a idade, as respostas ou o progresso. O que cada um envia:
Firebase Crashlytics (Android e iOS) — relatórios de avaria, para podermos corrigir as falhas da app. Só envia se o adulto responsável o autorizar, numa opção à parte e desmarcada do ecrã da primeira abertura, e enquanto a opção "Relatórios de avaria" estiver ligada nas Configurações Parentais — que fica com o que o adulto escolheu nesse ecrã. Com a opção ligada, envia:
counting);A opção pode ser desligada a qualquer momento, e a app continua a funcionar na íntegra sem ela. Depois de desligada, deixa de enviar a partir da abertura seguinte da app. Enquanto está desligada — e também antes de ser dado o consentimento —, a informação sobre uma falha que o serviço guarde no aparelho é apagada pela app, e nunca chega a ser enviada.
Firebase Cloud Messaging (FCM) (apenas Android) — notificações. Só depois de o adulto responsável dar o consentimento e de as notificações estarem permitidas no aparelho, a app pede um token FCM e subscreve dois tópicos temáticos ("anúncios" e "pais"). As notificações são enviadas a todos os subscritores de um tópico: não segmentamos por criança nem por perfil. Podem ser desactivadas a qualquer momento nas definições do sistema operativo, e a app continua a funcionar na íntegra sem elas.
Firebase Remote Config (apenas Android, e só nas versões de teste distribuídas a testadores convidados — a app publicada nas lojas não o usa) — permite-nos ligar e desligar funcionalidades sem publicar uma nova versão. A versão de teste descarrega a configuração, só depois de o adulto responsável dar o consentimento, e não envia dados de utilização. Para a pedir, envia o identificador da instalação e dados técnicos do pedido: as versões da app e do Android, e a língua, o país e o fuso horário definidos no aparelho.
Identificadores. Estes envios levam identificadores técnicos da instalação — o Firebase Installation ID e, no Crashlytics, um identificador próprio da instalação —, e o endereço IP de onde partem chega à Google, como em qualquer ligação à Internet. Não identificam a criança: não estão ligados ao nome, à idade, ao avatar nem ao progresso de nenhum perfil. Não é o identificador de publicidade (IDFA/AAID) — esse não existe nesta app. Por quanto tempo ficam guardados está na §8.
O que não sai: nada do que está na tabela da §4.1 — nome, idade, progresso, respostas, conversas.
Se nos escrever — para pedir ajuda, um reembolso ou o exercício de um direito —, recebemos o seu endereço de email, o nome que lá aparecer e o que nos disser na mensagem. Usamo-los só para lhe responder. O email é gerido num serviço da Google (Gmail). Para responder não precisamos de nenhum dado da criança: por favor não o inclua.
A app não:
Relatórios de avaria não são analytics. O Crashlytics (§4.3) serve para encontrar e corrigir falhas: não regista o que a criança faz dentro da app — que jogos abre, que respostas dá, quanto tempo joga — e não alimenta publicidade nem perfis de comportamento. É por isso que a linha acima sobre SDKs de analytics continua a ser verdadeira.
Os dados da §4.3 são tratados pela Google como nossa subcontratante, ao abrigo dos Firebase Data Processing and Security Terms, e podem sê-lo em servidores fora do Espaço Económico Europeu, em particular nos EUA. Estas transferências assentam em dois fundamentos:
A decisão de adequação foi confirmada pelo Tribunal Geral da União Europeia em Setembro de 2025 e está em recurso no Tribunal de Justiça; se deixar de valer, as cláusulas contratuais-tipo continuam a aplicar-se. Os termos da Google, incluindo as cláusulas, podem ser consultados no endereço acima.
Compra dentro da app. Para saber se esta instalação já desbloqueou a versão completa, a app pergunta-o à App Store (Apple) ou ao Google Play (Google), conforme a loja de onde foi instalada. Essa verificação devolve apenas um sim/não sobre a posse do produto e não identifica a criança nem o perfil: não lhe são enviados nome, idade, data de nascimento nem progresso. A Apple e a Google tratam os dados da conta e do pagamento como responsáveis independentes, segundo as suas próprias políticas de privacidade — a app nunca vê o cartão, a morada de facturação nem o nome do comprador.
Email. As mensagens que nos envia (§4.4) ficam no Gmail, um serviço da Google que também pode tratar dados fora do Espaço Económico Europeu.
Não há mais nenhuma transferência. Nenhum conteúdo produzido pela criança sai do dispositivo, e não vendemos nem cedemos dados a ninguém.
Os prazos da Google são os que ela publica em Privacy and Security in Firebase e em Manage Firebase installations.
Tem direito de acesso, rectificação, apagamento, limitação e portabilidade dos dados, de oposição ao tratamento e de retirar o consentimento a qualquer momento. Como a app foi desenhada para quase nada sair do aparelho, a forma de os exercer depende de onde os dados estão:
Respondemos no prazo de um mês, que só pode ser prorrogado nos casos previstos no art. 12.º, n.º 3, do RGPD.
Tem ainda o direito de apresentar reclamação à Comissão Nacional de Protecção de Dados (CNPD): https://www.cnpd.pt
Alterações materiais são anunciadas dentro da app, numa actualização, antes de entrarem em vigor; se uma alteração precisar de um novo consentimento, a app volta a pedi-lo. A versão em vigor está sempre em https://missaolumi.pt/privacidade-app.html, com a data em que entrou em vigor.
Para questões, pedidos de exercício de direitos ou reclamações: missaolumi@gmail.com
In case of conflict between versions, the Portuguese version prevails for Portuguese residents.
"Missão Lumi" is an educational app for children aged 5–11, aligned with the Portuguese primary-school curriculum (Portuguese, Mathematics, Environmental Studies and English).
The controller is Filipe Alves (Portugal), who develops and maintains the app. Contact: missaolumi@gmail.com. No data protection officer has been appointed, as the law does not require one for this processing (GDPR Art. 37); any data protection question goes to the contact above.
This policy explains, in plain language, what data the app processes, where it is stored, with whom it is shared, and what rights you have. It is drafted with the following in mind:
Where the app is available. Only in the stores of countries in the European Economic Area. The app is not available in the United States.
The app is designed for children and must be installed and configured by a parent or legal guardian (the "responsible adult").
On first launch, before any other screen, the app asks the responsible adult to confirm that they are the child's parent or guardian and that they authorise the use of the app under this policy. The same screen has a second choice, separate, unticked and optional: sending crash reports (§4.3). The app works fully without it, and the choice can be changed at any time in Parental Controls. Before the adult accepts, the app sends nothing: none of the services in §4.3 is contacted. Where the processing of a child's data under 13 relies on consent, that consent must be given by the child's legal representatives (GDPR Art. 8 and Portuguese Law 58/2019, Art. 16).
Because the app collects no data that identifies the child or the adult, we do not ask for identity documents to confirm the authorisation: doing so would mean collecting exactly the data the app was designed not to have. The authorisation is recorded when the adult ticks the box and taps «Accept and continue» («Aceitar e continuar»). The parts of the app that concern the adult — parental settings, the purchase and links out of the app — are protected by an adult check: a PIN, the device's biometrics or an arithmetic question.
Stored in a local SQLite database and the app's local preferences file. Never sent to us (we operate no backend). It only leaves the device if the adult exports it, or through the system's own backup, if the adult has it turned on (see below).
Date of birth. Entered by the guardian when creating the profile, it serves two purposes, both on the device: selecting content appropriate to the child's school year, and showing a birthday greeting on the day. The birthday check runs locally on the device — the app never sends the date anywhere, neither to us nor to any third party (the system backup, if the adult has it turned on, includes it — see below). It can be corrected at any time in Parental Controls.
This data never reaches us: we cannot view, correct, export or delete it remotely. The responsible adult controls it within the app itself — it can be corrected in the profile and deleted at any time via Settings → Parental Controls → Delete profile.
Uninstalling the app makes the operating system (Android or iOS) delete the data on the device.
System backup. If the adult has the device's backup turned on — the Google account backup on Android; iCloud or computer backup on iOS —, the operating system may keep a copy of the app's database (profile, progress, session history and economy) in the adult's account. That copy is made and stored by Google or Apple, under the terms of the service the adult agreed to with them; we have no access to it. Parental preferences (PIN, consent, time limits, locked worlds) and the app's access state are kept out of that copy, on both platforms. "Delete profile" and uninstalling the app delete the data on the device; the backup is replaced by the next one the system makes, and can be deleted in the device's or the account's backup settings.
Moving progress to another device. Progress does not sync between devices, but the adult can carry it over by hand: in Parental Controls (behind the parental gate), "Export progress" creates a file with the progress of one profile and opens the system share sheet, and the adult sends it wherever they choose (email, messages, cloud storage, AirDrop). On the other device, "Import progress" opens the system file picker, also behind the parental gate. - What the file contains: the profile's name and avatar, stars, the level reached in each game, pieces, Lumis, the educational-economy items and buildings, and the session history. - What it does not contain: the date of birth (asked again on import), the parental PIN and the other parental preferences (time limits, locked worlds), or the purchase, which is restored through the store. - We never receive it. The app writes the file and hands it to the system; the adult decides where it goes. The file name does not include the child's name. - Once shared, the file stays where the adult put it. Deleting the profile or uninstalling the app does not delete it there: it has to be deleted in that place.
Fingerprint / Face ID. Guardians may choose to open the parental area with biometrics instead of the PIN. The app never receives or stores your fingerprint or face: the operating system performs the check and hands the app only a yes or a no. No biometric data is written to the local database or anywhere else, and nothing is transmitted. We therefore carry out no special-category processing (GDPR Art. 9). The option is off by default and can be turned off in Parental Controls.
This version of the app includes no AI conversation feature. Nothing the child writes leaves the device.
Should that change, this policy will be updated before the feature becomes available, with notice inside the app.
The app uses three Firebase services, provided by Google (Google Ireland Limited and Google LLC) acting as our processor. None of them receives the child's name, date of birth, age, answers or progress. What each one sends:
Firebase Crashlytics (Android and iOS) — crash reports, so that we can fix the app's failures. It only sends if the responsible adult authorises it, through a separate, unticked option on the first-run screen, and while the "Crash reports" option is on in Parental Controls — which takes whatever the adult chose on that screen. With the option on, it sends:
counting);The option can be turned off at any time, and the app keeps working fully without it. Once turned off, sending stops from the next time the app is opened. While it is off — and also before consent is given — any information about a crash that the service keeps on the device is deleted by the app, and is never sent.
Firebase Cloud Messaging (FCM) (Android only) — notifications. Only after the responsible adult gives consent and notifications are allowed on the device does the app request an FCM token and subscribe to two thematic topics ("announcements" and "parents"). Notifications go to every subscriber of a topic: we do not target by child or by profile. They can be turned off at any time in the operating system settings, and the app keeps working fully without them.
Firebase Remote Config (Android only, and only in test versions distributed to invited testers — the app published in the stores does not use it) — lets us turn features on and off without shipping a new version. The test version downloads the configuration, only after the responsible adult gives consent, and sends no usage data. To request it, it sends the installation identifier and technical request data: the app and Android versions, and the language, country and time zone set on the device.
Identifiers. These transmissions carry technical identifiers of the installation — the Firebase Installation ID and, in Crashlytics, its own installation identifier — and the IP address they come from reaches Google, as with any Internet connection. They do not identify the child: they are not linked to any profile's name, age, avatar or progress. It is not the advertising identifier (IDFA/AAID) — that one does not exist in this app. How long they are kept is in §8.
What does not leave the device: anything in the §4.1 table — name, age, progress, answers, conversations.
If you write to us — for help, a refund or to exercise a right —, we receive your email address, the name shown with it and what you tell us in the message. We use them only to reply to you. Our email is handled by a Google service (Gmail). We do not need any data about the child to reply: please do not include it.
The app does not:
Crash reports are not analytics. Crashlytics (§4.3) is there to find and fix failures: it does not record what the child does inside the app — which games they open, what they answer, how long they play — and does not feed advertising or behavioural profiling. That is why the line above about analytics SDKs remains true.
The data in §4.3 is processed by Google as our processor, under the Firebase Data Processing and Security Terms, and may be processed on servers outside the European Economic Area, in particular in the USA. These transfers rely on two grounds:
The adequacy decision was upheld by the EU General Court in September 2025 and is under appeal before the Court of Justice; should it cease to apply, the standard contractual clauses continue to apply. Google's terms, including the clauses, are available at the address above.
In-app purchase. To know whether this installation has already unlocked the full version, the app asks the App Store (Apple) or Google Play (Google), depending on where it was installed from. That check returns only a yes/no on ownership of the product and does not identify the child or the profile: no name, age, date of birth or progress is sent. Apple and Google process the account and payment data as independent controllers, under their own privacy policies — the app never sees the card, the billing address or the buyer's name.
Email. The messages you send us (§4.4) are kept in Gmail, a Google service that may also process data outside the European Economic Area.
There are no other transfers. Nothing the child produces leaves the device, and we do not sell or hand over data to anyone.
Google's periods are the ones it publishes in Privacy and Security in Firebase and Manage Firebase installations.
You have the right of access, rectification, erasure, restriction and portability, the right to object, and the right to withdraw consent at any time. Because the app was designed so that almost nothing leaves the device, how you exercise them depends on where the data is:
We reply within one month, which can only be extended in the cases set out in GDPR Art. 12(3).
You also have the right to lodge a complaint with the Portuguese Data Protection Authority (CNPD): https://www.cnpd.pt
Material changes are announced inside the app, in an update, before they take effect; if a change needs new consent, the app will ask for it again. The version in force is always available at https://missaolumi.pt/privacidade-app.html, with the date it took effect.
For questions, rights requests, or complaints: missaolumi@gmail.com